Hackad WordPress-sajt? Det här gör ni de första 24 timmarna

Vad det är

Ett intrång i WordPress innebär vanligtvis att någon har fått möjlighet att ändra filer, databasen eller användarkonton. Vanliga tecken är okända administratörsanvändare, obekanta tillägg eller filer, injicerad JavaScript, spamsidor som indexerats av sökmotorer, omdirigeringar som bara drabbar vissa besökare, utgående skräppost eller varningar från en webbläsare eller sökmotor. Vanliga intrångsvägar är föråldrade eller övergivna tillägg och teman, återanvända eller svaga lösenord, komprometterade inloggningsuppgifter för hosting eller FTP och osäkra filbehörigheter. De första 24 timmarna handlar om att bekräfta vad som händer, begränsa ytterligare skada, dokumentera och förbereda en ordentlig sanering. Den detaljerade saneringen, fil för fil, följer som ett eget steg.

Vem det är för

Checklistan är till för:

• Företagsägare och marknadsteam som förvaltar en WordPress-webbplats utan ett eget säkerhetsteam
• Byråer som stöttar en kundwebbplats som just har rapporterats som komprometterad
• Intern IT-personal som har fått ett meddelande om avstängning från hostingleverantören eller en varning i webbläsaren
• Alla som behöver informera en leverantör tydligt innan saneringen börjar

Vad det hjälper till att klargöra

Att följa checklistan hjälper till att klargöra:

• Om webbplatsen faktiskt är komprometterad eller visar ett fel i konfiguration eller ett tillägg
• Vad som har ändrats, när, och vilka konton som kan vara inblandade
• Vem som äger hosting, domän, DNS och säkerhetskopior, och vem som kan godkänna ändringar
• Om kunddata eller betalflöden kan vara påverkade och behöver särskild uppmärksamhet

Vad ingår

• Timme 0-2: skriv ned vad som upptäcktes, när och av vem; ta skärmbilder av varningar, omdirigeringar och obekanta sidor
• Timme 0-2: ta reda på vem som kontrollerar hosting, domänregistrator, DNS, CDN och WordPress-administrationen
• Timme 1-4: ta en fullständig kopia av filer och databas i nuvarande skick och förvara den separat; skriv inte över äldre säkerhetskopior
• Timme 1-4: överväg att sätta webbplatsen i underhållsläge eller be hostingleverantören begränsa åtkomsten om besökare drabbas
• Timme 2-6: byt från en ren enhet lösenord för hosting, FTP/SFTP, databas och WordPress-administratörer; aktivera MFA där det finns
• Timme 2-6: granska WordPress-användare och ta bort eller inaktivera konton ni inte känner igen, och notera vad ni tog bort
• Timme 4-12: samla in tillgängliga åtkomstloggar från servern och säkerhetsmeddelanden från hostingleverantören
• Timme 6-24: informera en kvalificerad leverantör med era anteckningar, loggar och säkerhetskopian, och kom överens om en omfattning för saneringen

Vad som inte ingår

• Kommandon för borttagning av skadlig kod eller instruktioner om att redigera kärnfiler utan säkerhetskopia
• Juridisk rådgivning om huruvida anmälan av personuppgiftsincident krävs
• Ett påstående om att lösenordsbyte ensamt löser intrånget
• Råd om att kontakta eller hämnas på angriparen

När det passar att välja den

Använd checklistan så snart ni misstänker ett intrång, innan ni börjar radera filer eller återställa säkerhetskopior. Om webbplatsen hanterar betalningar eller lagrar kunders personuppgifter, involvera den som ansvarar för dataskydd och juridiska skyldigheter tidigt; anmälningsskyldigheter beror på omständigheterna och jurisdiktionen, och den här artikeln är inte juridisk rådgivning. Om hostingleverantören har stängt av kontot, fråga vad de behöver från er för att återställa åtkomsten och om de har loggar som ni kan använda.

Vår strategi

Prioritera begränsning och dokumentation framför snabb visuell sanering. En webbplats som ser normal ut igen kan fortfarande innehålla en bakdörr som låter angriparen återvända inom några dagar. Att återställa en gammal säkerhetskopia utan att stänga intrångsvägen leder ofta till ny infektion. När de inledande stegen är klara bör saneringen omfatta filer, databas, användare, schemalagda uppgifter och serverkonfiguration, följt av att intrångsvägen stängs och härdning. Vår tjänst Incident Recovery omfattar en inledande granskning och klassificering av ett överenskommet problem med en webbplats eller WordPress, praktisk begränsning, sanering av skadlig kod, bakdörrar och obehöriga användare, säker återställning, stängning av den identifierade intrångsvägen och en skriftlig rapport med rekommendationer för härdning. Det är arbete med definierad omfattning för den bekräftade webbplatsen, och juridiska bedömningar hanteras av er juridiska rådgivare. Oavsett vem som hjälper er, be dem förklara vad de hittade och ändrade, och spara rapporten tillsammans med era anteckningar.

Incident Recovery

Vanliga frågor

Relaterade artiklar